sadpainy/stuxnetОбразовательная реконструкция червя Stuxnet для анализа вредоносного ПО и оборонительных исследований. Включает модули для повышения привилегий, функциональность руткита и внедрение полезной нагрузки в ПЛК, нацеленное на Siemens Step 7 и ПЛК S7.
Спасибо, что оценили этот репозиторий. Его ценность заключается в том, чтобы избавить людей от необходимости читать скучные, разрозненные отчёты объёмом в тысячи страниц, которые отнимают огромное количество времени и сил. Этот репозиторий удобочитаем; он не слепо гонится за оригинальной версией, а в большей степени ориентирован на широкую аудиторию читателей.
Этот репозиторий содержит строго образовательную и исследовательскую реконструкцию печально известного червя Stuxnet. Это результат бесчисленных часов обратного инжиниринга, проведённого мировым сообществом исследователей безопасности над оригинальными бинарными образцами, обнаруженными в 2010 году.
Качество кода пройдено, покрытие успешно, чистый код подтверждён. Но сборка находится в нестабильной стадии.
Предупреждение: этот код предоставляется исключительно для академического изучения, обучения анализу вредоносного ПО и оборонительных исследований. Авторы и участники не одобряют незаконную или неэтичную деятельность.
Он не предназначен для использования в каких-либо вредоносных целях и не является развёртываемым образцом вредоносного ПО.
- Статус
Обзор
Основные компоненты
Техническая архитектура
Инструкции по сборке
Использование
Правовые аспекты и лицензия
Благодарности
# Статус
- Сборка: нестабильная
- Чистый код: подтверждён
- Качество кода: тесты пройдены
- Покрытие: отличное
Время: 2026-10-17 06:00
Добавлена версия, более близкая к оригиналу в деталях, а также чистая версия. обе собраны полностью на основе известных улик. Файл называется Reboot.zip, а пароль — Stuxnet.
Если вы считаете, что реконструкция недостаточно хороша...
Stuxnet широко признан первым известным кибероружием, предназначенным для нанесения физического ущерба промышленным системам управления (ICS). Он целенаправленно атаковал программное обеспечение Siemens Step 7 и ПЛК S7-300/400, в конечном итоге манипулируя приводами преобразователей частоты, чтобы повредить роторы центрифуг.
Этот репозиторий представляет собой реконструированный исходный код, полученный из декомпилированных бинарных файлов. Он сохраняет оригинальную логику и векторы атак, при этом структурируя кодовую базу для удобства чтения и анализа.
Цель: Siemens SIMATIC WinCC, Step 7 и ПЛК S7.
Распространение: USB-накопители (эксплойты LNK), сетевые ресурсы (Print Spooler), одноранговая сеть (P2P).
Полезная нагрузка: модификация логики блоков ПЛК (OB1/OB35) для изменения частот двигателей.
Скрытность: продвинутые возможности руткита (MRxCls.sys, MRxNet.sys) для сокрытия файлов, процессов и реестра.
Репозиторий организован по основным модулям, выявленным при анализе оригинального вредоносного ПО.
winsta.exe, ~WTR4141.tmp~WTR4132.tmpWin32k.sys для получения привилегий системного уровня.s7otbxdx.dlls7otbxsx.dll. Перехватывает обмен данными между Step 7 и ПЛК.- Модуль: Библиотека хуков Step7
- Имя файла:
s7aaapix.dll- Описание: Перехватывает вызовы API AUT (Automation Tool) в среде проектирования Step 7.
mrxcls.sysmrxnet.sys- Модуль: Полезная нагрузка (атака)
- Имя файла:
s7plcmain- Описание: Основная логика, отвечающая за атаку «подмена частоты», которая повреждает центрифуги.
Ниже описана высокоуровневая последовательность выполнения фреймворка Stuxnet.
Этап 1: Первичный вектор заражения (USB/сеть)
Этап 2: Дроппер и повышение привилегий
Этап 3: Проверка окружения
Этап 4a: Цель найдена (программное обеспечение Siemens) -> Установка хуков S7
Этап 4b: Не цель -> Самоуничтожение/простой
Этап 5: Мониторинг записей в PLC
Этап 6: Обнаружение записи OB1/OB35 -> Внедрение полезной нагрузки
Этап 7: Изменение выходной частоты
Этап 8: Физическое повреждение центрифуг
Этап 9: Установка rootkit (MRxCls)
Этап 10: Сокрытие файлов и реестра
Этап 11: Загрузка сетевого модуля (MRxNet)
Этап 12: P2P-распространение
Последовательность выполнения
Разведка окружения: Червь проверяет наличие определённого программного обеспечения Siemens (WinCC, Step 7) и конкретных целевых PLC (S7-315, S7-417).
Внедрение DLL: Он перехватывает вызов функции s7blk_write.
Внедрение кода: Когда пользователь загружает проект в PLC, вредоносный код добавляется к блокам OB1/OB35.
Физическое воздействие: PLC выполняет модифицированный код, заставляя подключённые преобразователи частоты (VFD) вращаться на аномальных частотах (высоких/низких), что приводит к механическим повреждениям.
Важно: Данная кодовая база предназначена для статического анализа и отладки в контролируемой виртуальной среде. Она не предназначена для развёртывания на какой-либо критической инфраструктуре.
Среда сборки: Microsoft Visual Studio 2019/2022 (Windows) или mingw-w64.
Целевая ОС: Windows XP / Windows 7 (для совместимости с драйверами).
Driver Kit: Windows Driver Kit (WDK) 7600 (при компиляции драйверов режима ядра).
Сборка пользовательских модулей
Клонируйте репозиторий
git clone https://github.com/Sadpainy/Stuxnet.git
cd Stuxnet
Сборка основного дроппера
cd Main
nmake /f Makefile.win
Сборка библиотеки хуков S7
cd ../s7otbxdx
cl /LD s7otbxdx.dll.c user32.lib ws2_32.lib
Этот код предназначен для:
Анализа вредоносного ПО: понимания конкретной логики кода, используемой в продвинутых устойчивых угрозах (APT).
Оборонительных исследований: разработки сигнатур обнаружения для инструментов безопасности АСУ ТП (например, правил YARA, сигнатур Snort).
Академического изучения: исследования пересечения кибербезопасности и защиты критической инфраструктуры.
Настройка анализа
Изолируйте среду: используйте виртуальную машину (VMWare/VirtualBox) с включённой сетью Host-Only. Отключите подключение к интернету.
Загрузите модули: анализируйте файлы .dll и .sys с помощью таких инструментов, как IDA Pro, Ghidra или x64dbg.
Отслеживайте активность: используйте Process Monitor (ProcMon), Process Hacker и Wireshark для наблюдения за поведением.